Schluss mit dem Aufschieben: KI-Governance ist jetzt eine Aufgabe des Aufsichtsrats

…

Lange konnten Aufsichtsräte KI als operatives Thema behandeln, als etwas, das das Management pilotieren und irgendwann berichten würde. Das hatte eine gewisse Logik, solange KI ein Experiment am Rand des Unternehmens war. Es hat keine Logik mehr, sobald KI in die Strategie eingebaut ist, deren Überwachung dem Aufsichtsrat obliegt.

Die Boardmitglieder spüren diesen Wandel selbst. 75 Prozent der Aufsichtsratsmitglieder sagen, ihre Rollen und Verantwortlichkeiten wachsen, und digitale Kompetenz hat mittlerweile sowohl strategische Planung als auch Finanzexpertise als gefragteste Fähigkeit im Gremium überholt. Das ist eine Zahl, die eine zweite Lektüre verdient: Zum ersten Mal wird Aufsichtsräten gesagt, dass technologisches Verständnis das Wertvollste ist, was sie einbringen können, noch vor den beiden Disziplinen, die Board-Arbeit seit einer Generation prägen.

Dennoch: Nur 24 Prozent der Aufsichtsratsmitglieder in privaten Unternehmen sind mit dem Verständnis ihres Gremiums für generative KI-Risiken zufrieden. Das lässt sich nicht durch ein Management-Briefing wegdiskutieren. Es ist ein Governance-Problem, das der Aufsichtsrat selbst lösen muss, weil die Lücke genau dort sitzt, wo die Aufsicht liegen sollte.

Und hier liegt das eigentliche Problem: KI ist bereits reguliert. Wer im Aufsichtsrat KI noch als rechtsfreien Raum behandelt, auf den man einfach warten kann, hat das Terrain falsch eingeschätzt.

Der Mythos vom rechtsfreien Raum

Der häufigste Fehler auf Aufsichtsratsebene ist die Annahme, dass es noch keine Regeln gibt, weil kein umfassendes KI-Gesetz existiert. Das Gegenteil ist wahr. Geltendes Recht erfasst KI von allen Seiten:

• Datenschutzrecht (DSGVO) regelt die Daten, die Ihre KI verarbeitet.
• Urheberrecht und gewerblicher Rechtsschutz regeln, womit sie trainiert wird und wem das Ergebnis gehört.
• Verbraucherschutzrecht verbietet, ihre Fähigkeiten zu übertreiben.
• Kapitalmarktrecht (WpHG) verlangt genaue und konsistente Offenlegung darüber, wie KI eingesetzt wird und welche Risiken damit verbunden sind.
• Das Allgemeine Gleichbehandlungsgesetz (AGG) greift, sobald KI Einstellungs-, Kredit- oder Wohnungsentscheidungen beeinflusst.
• Produkthaftungsrecht gilt, wenn ein KI-gestütztes Produkt Schaden verursacht.

Der dedizierte KI-Rechtsrahmen ist der Teil, der noch entsteht: kein umfassendes nationales KI-Gesetz, der EU AI Act als erster verbindlicher Rahmen auf europäischer Ebene, ergänzende nationale Regelungsansätze der Mitgliedstaaten, und internationale Bezugsrahmen wie das NIST AI Risk Management Framework und die OECD-KI-Grundsätze. Genau dieses Flickwerk ist der Grund, warum Aufsichtsräte Verantwortung nicht an eine Abwartehaltung delegieren können. Das Recht, das bereits gilt, schafft echte Haftungsrisiken, und das Recht, das kommt, wartet nicht darauf, dass Ihr Gremium sich damit wohlfühlt.

Zwei Grundsätze, die jeder Aufsichtsrat verinnerlichen muss

Zieht man die Komplexität ab, ruht die Aufgabe des Aufsichtsrats hier auf zwei Grundsätzen.

Erstens: KI-Governance ist Teil der Unternehmensführung, kein Nebenprojekt. Wenn KI verändern wird, wie das Unternehmen wettbewerbsfähig bleibt, dann kann die Aufsicht nicht für den Normalbetrieb konzipiert sein. Eine Transformation lässt sich nicht mit Governance-Strukturen steuern, die für den Gleichgewichtszustand gebaut wurden. Wenn KI in der Strategie auftaucht, muss sie mit der gleichen Ernsthaftigkeit in der Aufsicht auftauchen, die der Aufsichtsrat der Kapitalallokation oder der Nachfolgeplanung entgegenbringt.

Zweitens: Ein Mensch muss in der Entscheidungsschleife bleiben, und dieser Mensch muss namentlich benannt sein. Regulierungsbehörden, Gerichte und zunehmend auch Anteilseigner suchen alle nach demselben: Verantwortlichkeit. Jemand muss die Entscheidung treffen, die Grenzen des Systems kennen und in der Lage sein, einzugreifen und es außer Kraft zu setzen. „Das Modell hat es empfohlen“ ist keine Verteidigung. Die Verantwortung geht nie auf die Maschine über. Die eigentliche Aufgabe des Aufsichtsrats ist daher nicht, jeden Algorithmus zu verstehen. Sie ist sicherzustellen, dass für jeden relevanten Algorithmus eine Person mit Autorität und Sachverstand Rechenschaft ablegt.

Die Fragen, die vor dem nächsten Budgetzyklus auf den Tisch gehören

Aufsichtsräte überwachen KI nicht, indem sie einen festen „KI-Update“-Punkt auf die Agenda setzen und das Management die Zeit füllen lassen. Sie überwachen sie, indem sie Fragen stellen, die aktuelle Berichte nicht beantworten, und indem sie ehrlich darüber sind, was das Schweigen bedeutet. Einige Fragen, die es wert sind, gestellt zu werden:

• Wo wird KI in diesem Unternehmen heute tatsächlich eingesetzt, und wer hat jeden einzelnen Einsatz genehmigt? Eine gute Antwort ist ein echtes Inventar mit namentlichen Verantwortlichen. Kann niemand eines vorlegen, ist das bereits der Befund.
• Was könnten wir nicht verteidigen, wenn morgen etwas schiefgeht? Eine gute Antwort benennt die zwei oder drei Anwendungsfälle mit dem höchsten Risiko. Fühlen sich alle gleichermaßen risikoarm an, hat niemand genau hingeschaut.
• Wer ist der Mensch, der für unsere folgenreichsten KI-Entscheidungen verantwortlich ist? Eine gute Antwort ist ein Name und eine Rolle, kein Komitee und ein Achselzucken.
• Sind unsere öffentlichen Aussagen über KI in Pflichtveröffentlichungen, im Marketing und gegenüber Kunden korrekt und konsistent? Eine gute Antwort bedeutet, dass jemand sie koordiniert. Wenn Rechtsabteilung, Investor Relations und Marketing jeweils eigenständig kommunizieren, ist das die Haftung.
• Hat dieser Aufsichtsrat das Verständnis, um zu überwachen, was er gerade finanziert hat? Eine gute Antwort ist ehrlich. Wenn die aufrichtige Antwort Nein lautet, ist das eine Entscheidung über Zusammensetzung und Weiterbildung, keine Peinlichkeit, die es zu vermeiden gilt.

Den meisten Aufsichtsräten würde es heute gelingen, eine oder zwei dieser Fragen mit Überzeugung zu beantworten. Die Lücke zwischen dem, was das Unternehmen mit KI tut, und dem, was sein Aufsichtsrat davon versteht, ist der Ort, an dem Governance still versagt.

Wo die Aufsicht angesiedelt sein sollte

Eine der praktischsten Entscheidungen, vor denen ein Aufsichtsrat steht, ist täuschend schlicht: Welches Gremium übernimmt die KI-Aufsicht? Es gibt keine einzige richtige Antwort, und das ist der Punkt. Sie könnte beim Prüfungsausschuss liegen, wenn KI primär als Risiko- und Compliance-Thema gilt, bei einem Technologie- oder Risikoausschuss, beim Nominierungs- und Governance-Ausschuss, beim Gesamtaufsichtsrat oder bei einem eigens eingerichteten KI-Ausschuss, wenn der Einsatz das rechtfertigt. Die richtige Stelle hängt von Ihrem Risikoprofil, Ihren Anwendungsfällen, Ihrer Unternehmensgröße und den Erwartungen Ihrer Anteilseigner ab.

Entscheidend ist, dass die Wahl bewusst getroffen und dokumentiert wird, nicht durch Untätigkeit entsteht. Und zunehmend wollen Investoren KI-Kompetenz im Aufsichtsrat selbst sehen, nicht nur Zugang zu einem externen Experten auf Abruf. Die Zusammensetzung wird Teil der Antwort.

Die Falle, die bereits einen Namen hat

Wenn Ihr Aufsichtsrat einen konkreten Grund braucht, jetzt zu handeln: Das Übertreiben von KI-Fähigkeiten ist bereits ein Durchsetzungsschwerpunkt. BaFin, Staatsanwaltschaft und Verbraucherschutzbehörden haben eine Welle von „KI-Washing“-Verfahren gegen Unternehmen eingeleitet, die behaupteten, ihre KI leiste mehr, als sie tatsächlich tut. Die Disziplin, die das verhindert, ist unspektakulär und liegt vollständig in der Macht des Aufsichtsrats, sie einzufordern: Wissen, wo KI eingesetzt wird. Koordination vor öffentlichen Aussagen. Genauigkeit. Konsistenz über Pflichtveröffentlichungen und Marketing hinweg. Probleme frühzeitig eskalieren. Den Aufsichtsrat informiert halten. Das setzt keinen Datenwissenschaftler voraus. Es setzt Governance voraus.

Das Fazit

Aufsichtsräten wird nicht abverlangt, Technologen zu werden. Sie werden gebeten, das zu tun, wozu Aufsichtsräte existieren: rechenschaftspflichtige Aufsicht über die Strategie zu leisten, die sie finanzieren, zu einem Zeitpunkt, an dem diese Strategie auf einer Technologie beruht, mit der sich die meisten Boardmitglieder noch vertraut machen. Ohnehin fließt nur etwa ein Drittel der Aufsichtsratszeit in Strategie. Die Versuchung, KI auf den „Irgendwann“-Stapel zu legen, ist verständlich. Sie ist inzwischen aber auch ein eigenständiges Risiko.

Die Unternehmen, die das richtig machen, werden nicht die mit der auffälligsten KI sein. Sie werden die sein, bei denen ein Boardmitglied fragen kann „Wer ist verantwortlich?“ und jemand antworten kann, ohne dass der Raum still wird.

Diese Antwort beginnt an der Spitze. Sie beginnt jetzt.